量子耐性暗号化：ファイルセキュリティの将来対策

量子耐性暗号化は、暗号論的に有意な量子コンピュータ — RSA-2048 や ECDH P-256 を数時間で破れる Shor のアルゴリズムを実行できるもの — を持つ攻撃者からファイルを守ります。NIST は2024年8月に3つのポスト量子標準を確定しました。鍵カプセル化のための ML-KEM（FIPS 203、旧称 Kyber）、署名のための ML-DSA（FIPS 204、旧称 Dilithium）、ハッシュベース署名のための SLH-DSA（FIPS 205、旧称 SPHINCS+）です。ファイル転送での2026年時点の実用的な道筋は、鍵交換に X25519-MLKEM-768 を使うハイブリッド方式です。バルク暗号化には引き続き AES-256-GCM を使います（対称暗号は Grover のアルゴリズムで鍵長が半減するだけで済むため）。

対称暗号化はほぼ問題なし

Grover のアルゴリズムは対称暗号の有効鍵長を半分にします。AES-256 は128ビットの量子セキュリティに低下し、AES-128 は64ビットになって破られる可能性があります。対策はシンプルです。AES-256 をすべての場所で使うことです。 ChaCha20-Poly1305 も同様に128ビットのポスト量子セキュリティを維持します。ハッシュ関数はさらに状況が良く、SHA-256 は128ビットの衝突耐性を維持し、SHA-384 は192ビットを維持します。深刻な状況ではありません。主要なファイル転送ツールはすでに AES-256-GCM を使っており、この側面では変更不要です。

本当の危険：鍵交換と署名

問題は公開鍵の仕組みです。RSA の因数分解と楕円曲線の離散対数は、どちらも Shor のアルゴリズムで破られます。RSA-2048 を破るには約4,000の論理量子ビットが必要です。IBM の2025年 Kookaburra は4,158の物理量子ビットを持ちます。誤り訂正が成熟すれば（NIST のタイムラインでは2030〜2035年頃）、攻撃は現実的になります。現在のすべての TLS 1.3 セッションは鍵交換に ECDH または X25519 を使っており、量子コンピュータはそこを攻撃します。2026年に転送するファイルが、保存された暗号文を持つ攻撃者によって2035年に復号されるかもしれません。「今収集して、後で復号する」は仮定の話ではなく、NSA の2013年の文書にはこの戦略が記されています。

ML-KEM：新世代の鍵交換

ML-KEM（Module-Lattice Key Encapsulation Mechanism）は NIST が選定したポスト量子鍵交換で、FIPS 203 として標準化されています。3つのパラメータセットがあります。ML-KEM-512（128ビット量子セキュリティ）、ML-KEM-768（192ビット）、ML-KEM-1024（256ビット）。公開鍵のサイズは800〜1,568バイト、暗号文は768〜1,568バイトと、X25519 の32バイトと比べると大きいですが、まだ扱えます。 Chrome 131 は2024年末にデフォルトでハイブリッド X25519-MLKEM-768 を搭載しました。 Cloudflare は2024年12月にすべてのエンドポイントで有効化しました。ファイル転送サービスが Cloudflare の背後で動いているなら、TLS 1.3 ハンドシェイクはすでにポスト量子保護されています。

ML-DSA：真正性の確保

ML-DSA（Module-Lattice Digital Signature Algorithm）、FIPS 204 は ECDSA と Ed25519 を署名において置き換えます。パラメータセットは ML-DSA-44（128ビット）、ML-DSA-65（192ビット）、ML-DSA-87（256ビット）です。署名サイズは2,420〜4,595バイトで、Ed25519 の64バイトと比べると大きくなります。ファイル転送において、署名はサーバーの TLS 証明書の認証と、否認防止のための監査ログエントリの署名という2つの場面で重要です。 Let's Encrypt と DigiCert はどちらも2026〜2027年に ML-DSA 証明書の発行を計画しています。それまでの間、Ed25519 と ML-DSA 両方の署名を含むハイブリッド証明書が橋渡しをします。

SLH-DSA：保守的なバックアップ

SLH-DSA（FIPS 205、旧称 SPHINCS+）はハッシュベースで、SHA-256 または SHAKE のセキュリティのみに依存します。格子問題を信用しない場合に選ぶアルゴリズムです。署名はかなり大きく（7,856〜49,856バイト）、計算も遅いですが、セキュリティの論証は完璧です。2050年まで信頼可能な署名が必要な長期保存の監査ログには SLH-DSA が適しています。30秒のファイル転送には過剰です。

ハイブリッド方式：二重の安全策

純粋なポスト量子展開は ML-KEM が新しいため、暗号解析が続くリスクがあります。業界のコンセンサスは NIST SP 800-227（2024年ドラフト）に明記されており、古典的なアルゴリズムとポスト量子アルゴリズムを並行して実行し、導出した秘密を XOR するハイブリッドです。攻撃者は復号するために両方を破る必要があります。TLS の現在のデフォルトは X25519-MLKEM-768 で、制約環境では RSA-3072 + ML-KEM-768 です。保存時のファイル暗号化では、AES-256 のファイル鍵を X25519 と ML-KEM の両公開鍵の下でハイブリッド暗号化し、両方の暗号文を保存できます。

既存システムの移行方法

暗号アジリティの問題は現実です。ほとんどのファイル転送コードベースは設定や構造体定義にアルゴリズム名をハードコードしています。OID とプラガブルなプロバイダーにリファクタリングして、ECDH から ML-KEM への切り替えが設定変更で済むようにすべきです。英国 NCSC は2026年末までにインベントリを完成し、2028年までにハイブリッドを展開し、2031年までに完全なポスト量子移行を完了することを推奨しています。米国 CNSA 2.0 は2027年までに新システムへの ML-KEM と ML-DSA の義務付け、2033年までにすべてのシステムへの展開を義務付けています。ファイル転送ベンダーは PQC ロードマップを公開すべきで、2026年時点でまだ言及がないなら尋ねてみましょう。

鍵サイズ、帯域幅、モバイルへの影響

ML-KEM-768 は TLS ハンドシェイクあたり X25519 比で約2.3KB の追加があります。5G 回線では2ミリ秒の遅延で気にならないレベルです。600ミリ秒の RTT を持つ衛星回線では目に見えますが許容範囲です。すでに数分かかる10GB のファイル転送では、オーバーヘッドは誤差の範囲内です。問題になるのは大量の接続を処理するサービス（毎秒1万ハンドシェイクを受け付ける CDN オリジン）で、メモリオーバーヘッドがスケールします。 Cloudflare の背後で動く HexaTransfer などのサービスはこのコストをエッジにオフロードします。

数十年後に検証される署名

最も興味深いケースは2060年まで検証可能であることが求められるファイルへのデジタル署名です。2026年に Ed25519 で署名した .pdf 契約書は、2040年には検証できない（または偽造可能になる）かもしれません。選択肢は3つあります。現在最良のアルゴリズムで定期的に再署名する。今日 SLH-DSA で署名して SHA-256 の長寿命を信頼する。署名をブロックチェーンにタイムスタンプする（ OpenTimestamps が Bitcoin に紐づけます）ことで、署名アルゴリズムが破られても少なくとも存在と日付が暗号学的に保存されます。アーカイブグレードの署名は、ポスト量子の考え方が最も重要な領域です。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。